Cybersécurité des TPE et PME : obligations et réflexes

Quelles obligations de sécurité pèsent sur une TPE ou une PME ?

Aucune loi française n'impose de niveau de sécurité informatique uniforme aux petites entreprises. Les obligations viennent d'ailleurs : de la protection des données personnelles, des règles sectorielles, et bientôt de la transposition de la directive européenne NIS 2. Une TPE de cinq salariés qui gère un fichier clients est déjà concernée par la première de ces trois sources.

Ce qu'impose le RGPD

L'article 32 du règlement général sur la protection des données impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. Le texte ne fixe pas de liste : il retient l'état de l'art, les coûts, la nature des données et la gravité du risque pour les personnes. Une petite entreprise n'est pas tenue au même dispositif qu'un opérateur télécoms, mais elle n'est pas dispensée.

L'obligation se double d'une obligation de documentation. La CNIL rappelle que toute violation de données doit être consignée dans un registre interne, même lorsqu'elle n'est pas notifiée. Ce registre décrit la nature de la violation, les catégories et le nombre approximatif de personnes touchées, les conséquences probables et les mesures prises.

Le manquement à la sécurité n'est pas théorique. La CNIL a consacré une part croissante de son action répressive à ce motif et a annoncé consacrer la moitié de ses contrôles et actions répressives de 2026 à la conformité en matière de cybersécurité. Les amendes pour manquement à l'article 32 relèvent du premier plafond du règlement, soit 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Ce que NIS 2 changera, et pour qui

La directive NIS 2 étend le périmètre de la régulation européenne à dix-huit secteurs et à plusieurs milliers d'entités françaises. Sa transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, présenté en conseil des ministres le 15 octobre 2024, adopté par le Sénat les 11 et 12 mars 2025, puis examiné en commission spéciale à l'Assemblée nationale, dont le rapport a été déposé le 10 septembre 2025. L'ANSSI indique que NIS 2 entrera en vigueur en France une fois l'ensemble des textes de transposition promulgués, loi, décrets et arrêtés compris.

La plupart des TPE resteront hors du périmètre. L'assujettissement suppose en principe d'atteindre la taille d'une moyenne entreprise au sens de la recommandation européenne 2003/361/CE. L'ANSSI signale toutefois une exception notable : certains fournisseurs de services, notamment de communications électroniques et de noms de domaine, sont régulés quelle que soit leur taille. Une petite société d'hébergement ou un bureau d'enregistrement peut donc être concerné là où un artisan ne l'est pas.

En attendant, l'ANSSI a publié le 17 mars 2026 le Référentiel cyber France, cadre de cybersécurité mentionné à l'article 14 du projet de loi résilience. Les entreprises qui anticipent la réglementation peuvent s'y référer sans attendre la promulgation.

Quand et comment notifier une violation de données sous 72 heures ?

Une violation de données n'est pas seulement un piratage. La CNIL retient toute violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à ces données. Un ordinateur portable volé, une pièce jointe envoyée au mauvais destinataire ou un serveur de sauvegarde effacé entrent dans la définition.

Les trois niveaux de risque

Le régime dépend du risque pour les personnes concernées, pas de la gravité technique de l'incident. La CNIL distingue trois situations.

• risque nul ou négligeable : aucune notification, mais inscription obligatoire au registre interne des violations ;
• risque avéré : notification à la CNIL dans les 72 heures suivant la prise de connaissance de la violation ;
• risque élevé : notification à la CNIL et information directe des personnes concernées, dans les meilleurs délais.

Le point de départ des 72 heures est la prise de connaissance, c'est-à-dire le moment où le responsable de traitement acquiert un degré raisonnable de certitude qu'un incident de sécurité s'est produit. Le délai ne court donc pas à compter de l'intrusion elle-même, mais de sa détection. Une notification tardive reste possible : elle doit alors être motivée.

Le contenu de la notification

La notification se fait par le service en ligne de la CNIL. Elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Quand toutes les informations ne sont pas disponibles, la CNIL admet une notification en deux temps : un premier envoi dans le délai, complété ensuite.

L'information des personnes, quand le risque est élevé, obéit à une exigence de clarté. La CNIL a retenu contre deux opérateurs télécoms sanctionnés en janvier 2026 le fait que les courriels adressés aux abonnés ne comportaient pas toutes les informations requises et ne permettaient ni de comprendre les conséquences de la fuite, ni de savoir quelles précautions prendre. Trois dispenses existent : données chiffrées avec une clé non compromise, risque éliminé par des mesures ultérieures, effort disproportionné justifiant une communication publique de substitution.

Le sous-traitant a une obligation propre. Il doit alerter le responsable de traitement dans les meilleurs délais dès qu'il constate une violation. Une PME qui héberge ses données chez un prestataire reste responsable de la notification : la sous-traitance ne transfère pas l'obligation.

Que faire dans les premières heures d'une attaque par rançongiciel ?

L'ordre des gestes compte plus que leur rapidité. Cybermalveillance.gouv.fr publie une fiche réflexe destinée aux organisations : elle demande d'isoler sans éteindre. Débrancher la box ou le routeur coupe la propagation vers l'extérieur, retirer le câble réseau ou désactiver le Wi-Fi isole les postes touchés, mais couper l'alimentation détruit les données présentes en mémoire vive, dont les enquêteurs et les prestataires ont besoin.

Avant de reconstruire, il vaut la peine de vérifier qu'un outil de déchiffrement existe. Cybermalveillance.gouv.fr renvoie vers la plateforme No More Ransom, portée notamment par Europol, qui met à disposition des utilitaires gratuits pour une partie des familles de rançongiciels. Tous ne sont pas couverts, mais la vérification coûte quelques minutes.

La restauration suppose des sauvegardes exploitables. L'ANSSI recommande aux TPE et PME la règle dite 3-2-1 : trois copies des données, sur deux supports différents, dont une hors ligne. Une sauvegarde restée connectée au réseau au moment de l'attaque est en général chiffrée avec le reste.

Faut-il payer la rançon ?

La réponse des autorités est constante. Cybermalveillance.gouv.fr déconseille le paiement pour trois raisons : rien ne garantit la récupération des données, le paiement désigne l'entreprise comme une cible qui cède, et il finance directement l'activité criminelle. Le versement n'efface ni l'exfiltration des données déjà réalisée, ni l'obligation de notifier.

Payer ne règle pas non plus la question juridique. La violation de données reste à notifier à la CNIL si elle présente un risque, et les personnes concernées restent à informer en cas de risque élevé. Un paiement discret suivi d'un silence expose donc l'entreprise à un second manquement, distinct du défaut de sécurité.

Quelles menaces visent réellement les petites structures ?

Le rançongiciel n'est pas la première menace pour les entreprises. Dans son bilan 2025, Cybermalveillance.gouv.fr place le piratage de compte en tête des demandes d'assistance des entreprises et associations, à 21 %, en hausse de 52 % sur un an. Suivent l'hameçonnage, 16 %, en hausse de 29 %, et le faux ordre de virement, 13,5 %, qui bondit de 93 %. Le rançongiciel représente 8,1 % des demandes, devant la violation de données, 6,6 %, et le piratage informatique, 6 %.

Le classement diffère pour les communes et administrations, où le rançongiciel pèse plus lourd : piratage de compte 20,1 %, hameçonnage 19,2 %, rançongiciel 13,1 %, faux ordre de virement 8,5 % avec une progression de 262 %, violation de données 7,7 %. Une petite collectivité et une PME de même taille ne font donc pas face au même profil de risque.

Le volume global progresse. Cybermalveillance.gouv.fr a franchi en 2025 le seuil de 500 000 victimes assistées, en hausse de 20 % sur un an, une progression que le dispositif rattache aux fuites de données à répétition chez des enseignes, des fédérations sportives, des opérateurs télécoms et des acteurs de santé. Les données ainsi exposées alimentent ensuite des campagnes d'hameçonnage personnalisées.

De son côté, l'ANSSI a traité 3 586 événements de sécurité en 2025, en baisse de 18 % sur un an, dont 1 366 incidents. Sur 460 événements qualifiés de possibles fuites de données, 42 % ont pu être associés à une fuite avérée. Ces chiffres portent sur le périmètre suivi par l'agence, orienté vers les organisations les plus critiques, et ne mesurent pas la sinistralité des petites entreprises.

Combien coûte une cyberattaque à une petite entreprise ?

Aucune source publique française ne publie de coût moyen d'une cyberattaque pour une TPE ou une PME. Les documents officiels décrivent des impacts, pas des montants. Le mémento publié par Cybermalveillance.gouv.fr en septembre 2024 recense, parmi les entreprises touchées, une interruption d'activité dans 35 % des cas, un vol de données dans 25 %, une atteinte à l'image dans 17 %, une perte financière dans 15 % et une destruction de données dans 12 %.

Ce que l'on mesure en revanche, c'est le budget consacré à la prévention. Le baromètre 2025 de la maturité cyber des TPE-PME établit que 75 % des entreprises interrogées investissent moins de 2 000 euros par an dans leur cybersécurité, 15 % prévoyant d'augmenter ce budget, soit 5 points de plus qu'un an plus tôt. Dans le même temps, 19 % déclaraient avoir relevé leur budget informatique global, contre 13 % en 2024.

L'enquête donne aussi la sinistralité déclarée : 16 % des TPE-PME interrogées ont subi au moins un incident de cybersécurité au cours des douze derniers mois. Elle a été menée par OpinionWay du 2 juin au 7 juillet 2025 auprès de 588 entreprises de moins de 250 salariés, en métropole et outre-mer.

La perception progresse plus vite que la préparation. 44 % des dirigeants estiment leur entreprise fortement exposée, 6 points de plus qu'en 2024, et 58 % jugent bénéficier d'un bon niveau de protection, en hausse de 19 points. Mais 80 % reconnaissent ne pas savoir évaluer les conséquences d'une cyberattaque sur leur activité.

Le nombre moyen de dispositifs déployés par entreprise passe de 3,62 à 4,06. La progression porte surtout sur les mesures peu coûteuses : la politique de mots de passe gagne 11 points, le gestionnaire de mots de passe 8 points, la double authentification 6 points. Les briques les plus onéreuses, comme la détection d'attaque, restent minoritaires.

Quels dispositifs publics gratuits peuvent aider ?

L'offre publique est plus étoffée qu'on ne le suppose et entièrement gratuite dans sa partie diagnostic, formation et orientation. Elle se répartit entre l'ANSSI, le dispositif Cybermalveillance.gouv.fr et les centres de réponse à incident territoriaux.

MonAideCyber mérite un mot de plus. Le diagnostic est réalisé par un aidant formé par l'ANSSI, sur place ou en visioconférence, à partir d'un questionnaire fourni par l'État. Il dure 90 minutes et débouche sur six recommandations à mettre en œuvre. Le service s'adresse aux entités publiques et privées engageant une première démarche de cybersécurité, à l'exclusion des particuliers et des entreprises sans salarié.

Le label ExpertCyber répond à un autre besoin : identifier un prestataire quand l'entreprise n'a pas de compétence interne. Créé par Cybermalveillance.gouv.fr avec le groupe AFNOR, il atteste des compétences et de la qualité de service de prestataires spécialisés. Le choix d'un intervenant se prépare avant l'incident, pas pendant.

Enfin, l'ANSSI publie un guide de cybersécurité pour les TPE et PME organisé en treize questions, de l'inventaire du parc informatique aux solutions cloud, en passant par la couverture assurantielle et la réaction aux attaques. Les recommandations sont opérationnelles : mots de passe d'au moins 9 caractères pour les services peu critiques et 15 caractères pour les services critiques, double authentification, comptes utilisateurs sans privilèges d'administration, mises à jour automatiques, séparation des usages personnels et professionnels.